Информационные активы: сроки и стоимость защиты от утечек

Сроки защиты информационных активов не имеют единой календарной даты: они определяются сроком сохранения конфиденциальности, периодами хранения документов, давностью привлечения к ответственности и специальными сроками уведомления регулятора. Стоимость защиты не установлена законом и зависит от масштаба, отраслевых требований и выбранной модели — от локального юридического аудита до комплексной программы с DLP-системами и киберстрахованием. Ниже — правовой разбор для собственников, директоров и юристов.

1. Что такое информационные активы и когда утечка становится юридическим фактом

Под информационными активами в корпоративной практике понимают сведения, которые имеют экономическую ценность, охраняются законом или договором и могут быть утрачены, разглашены или неправомерно использованы. К ним относятся персональные данные клиентов и работников, коммерческая тайна, секреты производства (ноу-хау), базы данных, исходный код, финансовая и налоговая отчетность, сведения о сделках, ценообразовании, контрагентах, технологиях, а также информация ограниченного доступа в понимании Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Правовой режим таких активов неоднороден. Персональные данные охраняются Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Коммерческая тайна — Федеральным законом от 29.07.2004 № 98-ФЗ «О коммерческой тайне». Секреты производства — главой 75 ГК РФ, прежде всего ст. 1465–1472 ГК РФ. Базы данных могут защищаться как объекты смежных прав (ст. 1334 ГК РФ) и как составные произведения (ст. 1260 ГК РФ). Государственная тайна — Законом РФ от 21.07.1993 № 5485-1. Отдельные виды информации регулируются отраслевыми актами: банковская тайна, налоговая тайна, врачебная тайна, тайна связи.

Утечка становится юридическим фактом не в момент фактического копирования, а когда подтверждены неправомерный доступ, разглашение или передача охраняемой информации. Для коммерческой тайны критично доказать, что в компании введён режим коммерческой тайны: определён перечень сведений, ограничен доступ, установлен гриф, приняты меры по регулированию отношений с работниками и контрагентами. Если режим не введён, суд может не признать информацию охраняемой, даже если фактически она была украдена. Это ключевая развилка, от которой зависят и сроки, и стоимость защиты.

2. Сроки: какие периоды действительно имеют значение

Первое, что нужно различать, — срок действия режима охраны и сроки юридических процедур. Режим коммерческой тайны и исключительное право на секрет производства действуют, пока сохраняется конфиденциальность сведений (ст. 1467 ГК РФ). Закон не требует устанавливать конкретную дату окончания режима; он прекращается, если информация стала общедоступной законным путём или обладатель перестал принимать меры по охране. В договорах и трудовых соглашениях можно закрепить срок действия обязанностей о неразглашении после увольнения или прекращения договора — например, 3 года, 5 лет или бессрочно, если это не противоречит закону и трудовому законодательству.

Второй блок — сроки хранения документов. Закон об АО (208-ФЗ) и Закон об ООО (14-ФЗ) обязывают хранить учредительные, корпоративные и финансовые документы, а также предоставлять их участникам в установленных случаях. Конкретные сроки определяются номенклатурой дел, Федеральным законом от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации» и ведомственными актами. На практике бухгалтерские документы хранятся не менее 5 лет, кадровые — дольше, отдельные документы — до 75 лет. Если документ содержит охраняемую информацию, срок хранения продлевает и срок потенциальной ответственности за утечку.

Третий блок — специальные сроки уведомления регулятора. По ст. 21 Федерального закона № 152-ФЗ оператор обязан уведомить Роскомнадзор о неправомерной передаче (предоставлении, распространении) персональных данных в течение 24 часов с момента обнаружения инцидента, а в течение 72 часов — провести внутреннее расследование и уведомить о его результатах. Эти сроки короткие, и их нарушение само по себе становится отдельным составом административного правонарушения.

Четвёртый блок — давность привлечения к ответственности. Общий срок исковой давности по ГК РФ — 3 года (ст. 196 ГК РФ). Для оспаривания сделок в банкротстве действуют специальные сроки: 1 год и 3 года (ст. 61.2 Закона о банкротстве 127-ФЗ). Для привлечения контролирующих лиц к субсидиарной ответственности — 3 года, но с момента, когда кредитор узнал или должен был узнать о нарушении. Уголовная давность зависит от тяжести преступления. Поэтому «защита навсегда» юридически невозможна: всегда есть период, в течение которого риски сохраняются.

3. Пошаговый порядок защиты информационных активов

Шаг 1. Инвентаризация и юридическая квалификация. Нужно описать, какие информационные активы есть, кто их владелец, где они хранятся, кто имеет доступ, какие договоры и локальные акты их касаются. Результат — реестр активов и карта потоков данных.

Шаг 2. Классификация и введение режима. Для коммерческой тайны утверждается перечень сведений, приказ о режиме, назначается ответственный, устанавливается гриф «Коммерческая тайна», определяются места хранения и порядок доступа. Для персональных данных — политика оператора, уведомление Роскомнадзора, оценка вреда субъектам, модель угроз.

Шаг 3. Договорная и кадровая защита. С работниками заключаются соглашения о неразглажении, с контрагентами — NDA и условия о конфиденциальности, с правообладателями и лицензиарами — отдельные режимы. В трудовом договоре или отдельном соглашении фиксируются обязанности, ответственность и сроки. Важно ознакомить работника под роспись с перечнем охраняемых сведений.

Шаг 4. Технические и организационные меры. Внедряются разграничение доступа, парольная политика, шифрование, DLP-системы, SIEM-мониторинг, резервное копирование, журналирование. Организационно — обучение, проверки, пропускной режим, уничтожение носителей, порядок реагирования на инциденты.

Шаг 5. Мониторинг, реагирование и обновление. Защита не заканчивается приказом. Нужны регулярный аудит, учения, пересмотр перечней, анализ инцидентов и обновление документов. Для АО и ООО полезно включить вопросы информационной безопасности в компетенцию совета директоров или ревизионной комиссии, если это соответствует уставу.

Таблица ниже показывает ориентировочные сроки и категории затрат. Это не смета: конкретные суммы зависят от отрасли, масштаба, числа субъектов данных и выбранных технологий.

4. Стоимость защиты: из чего складывается бюджет

Универсальной государственной таксы за защиту информационных активов нет. Бюджет формируется из четырёх блоков. Первый — юридический: разработка режима коммерческой тайны, политик, NDA, договорных условий, аудит документов, сопровождение инцидентов и судов. Второй — организационный: обучение, проверки, аттестация, создание службы безопасности или назначение ответственных. Третий — технический: DLP, SIEM, средства шифрования, управление доступом, резервное копирование, защита от утечек по каналам электронной почты, мессенджеров и съёмных носителей. Четвёртый — страхование киберрисков и резервы на ущерб.

На стоимость влияют: отрасль (финансы, медицина, ИТ, оборонка требуют большего), количество субъектов персональных данных, наличие трансграничной передачи, работа с гостайной, число контрагентов и подрядчиков, текущая зрелость процессов. Локальный юридический аудит может измеряться десятками тысяч рублей; комплексная программа с техническими системами и сопровождением — миллионами. Экономия на юридическом оформлении почти всегда приводит к росту стоимости инцидента: без режима коммерческой тайны сложно взыскать убытки и привлечь виновных.

Отдельно нужно считать цену бездействия. Административная ответственность по ст. 13.11 КоАП РФ за нарушения обработки персональных данных для юридических лиц может выражаться в значительных штрафах, а по отдельным составам — до миллионов рублей. Уголовная ответственность по ст. 183 УК РФ (незаконное получение и разглашение коммерческой тайны), ст. 272 УК РФ (неправомерный доступ к компьютерной информации), ст. 274.1 УК РФ (неправомерное воздействие на критическую информационную инфраструктуру) создаёт личные риски для руководителей и сотрудников. Добавьте иски клиентов, утрату деловой репутации, простои и расходы на расследование.

5. Ответственность и судебная практика

Ответственность за утечки носит множественный характер. Дисциплинарная — замечание, выговор, увольнение по соответствующим основаниям ТК РФ. Материальная — по ст. 238 и 243 ТК РФ, если доказаны противоправность, вина, причинная связь и размер ущерба. Гражданско-правовая — возмещение убытков, компенсация морального вреда, пресечение нарушения. Административная — ст. 13.11, 13.14 КоАП РФ. Уголовная — ст. 137, 183, 272, 274.1 УК РФ.

Судебная практика по взысканию убытков с работников и контрагентов неоднородна. Суды чаще удовлетворяют требования, если в компании есть утверждённый перечень сведений коммерческой тайны, работник ознакомлен под роспись, доступ был ограничен, есть доказательства копирования или передачи, а размер ущерба подтверждён документально. Если же перечень не утверждён, гриф не проставлен, NDA отсутствует или подписан после получения доступа, суд может отказать. Это не означает безнаказанность, но переносит спор в плоскость трудовых или уголовных процедур, где доказывание сложнее.

В банкротстве информационные активы приобретают особое значение. Арбитражный управляющий запрашивает документы, базы данных, пароли, права на программное обеспечение. Непередача документации может привести к привлечению контролирующих должника лиц к субсидиарной ответственности по ст. 61.11 Закона о банкротстве 127-ФЗ. Утрата или сокрытие информационных активов может квалифицироваться как воспрепятствование деятельности управляющего и повлечь дополнительную ответственность. Поэтому хранить и передавать информационные активы нужно по описи и с подтверждением.

6. Типичные ошибки при защите информации

Ошибка 1. Отсутствие приказа и перечня охраняемых сведений. В этом случае режим коммерческой тайны фактически не введён. Ошибка 2. Формальный NDA без перечня, срока и ответственности. Ошибка 3. Доступ «по умолчанию» для всех сотрудников, отсутствие матрицы доступа. Ошибка 4. Игнорирование 24- и 72-часовых сроков уведомления Роскомнадзора. Ошибка 5. Уничтожение следов инцидента или самостоятельное расследование без фиксации. Ошибка 6. Отсутствие журналов, доказательств ознакомления и описей.

Ошибка 7. Неправильное оформление увольнения. Если работник уходит с доступом к информации, нужно немедленно прекратить доступ, изъять носители, провести exit-интервью, напомнить об обязанностях. Ошибка 8. Пренебрежение контрагентами и подрядчиками. Утечка часто происходит через аутсорсинг, облачные сервисы и техническую поддержку. Ошибка 9. Отсутствие плана реагирования. В первые часы решается, будут ли доказательства и уведомления. Ошибка 10. Экономия на обучении. Человеческий фактор остаётся основной причиной утечек.

7. Практические рекомендации и чек-лист

Для собственника и директора разумный минимум: утвердить реестр информационных активов; ввести режим коммерческой тайны; назначить ответственного; заключить NDA и трудовые соглашения; ограничить доступ; внедрить журналирование и резервное копирование; разработать план реагирования на инциденты; проверять контрагентов; обучать сотрудников; проводить аудит не реже раза в год. Для АО и ООО полезно закрепить эти вопросы в локальных актах и внутреннем контроле, не подменяя компетенцию органов управления.

Юридическая фиксация должна быть синхронной: приказ, перечень, журналы, акты, уведомления, объяснения, служебные записки. Если инцидент произошёл, необходимо сохранить логи, зафиксировать время обнаружения, уведомить регулятора в срок, провести внутреннее расследование, оценить вред субъектам, при необходимости привлечь экспертов и правоохранительные органы. Нельзя обещать «полную защиту»: задача — снизить вероятность и цену инцидента, а также создать доказуемую систему охраны.

FAQ

Какие сроки уведомления Роскомнадзора об утечке персональных данных?

Оператор обязан уведомить Роскомнадзор в течение 24 часов с момента обнаружения неправомерной передачи персональных данных, а в течение 72 часов — представить результаты внутреннего расследования.

Нужно ли устанавливать срок действия режима коммерческой тайны?

Закон не требует фиксированной даты: режим действует, пока сохраняется конфиденциальность. В NDA и трудовых договорах можно установить срок обязанностей после увольнения, если это не ухудшает положение работника по ТК РФ.

Сколько стоит защита информационных активов?

Единой цены нет. Локальный юридический аудит может стоить десятки тысяч рублей, комплексная программа с DLP, SIEM и сопровождением — миллионы. Бюджет зависит от отрасли, масштаба и требуемого уровня защиты.

Можно ли взыскать убытки с работника за утечку?

Да, если доказаны режим коммерческой тайны, вина работника, причинная связь и размер ущерба. На практике суды требуют утверждённый перечень сведений, ознакомление под роспись и доказательства неправомерных действий.

Какие документы нужны для защиты информационных активов?

Приказ о режиме коммерческой тайны, перечень охраняемых сведений, NDA и трудовые соглашения, политика обработки персональных данных, матрица доступа, журналы ознакомления и учёта, регламент реагирования на инциденты.

8. Трансграничный аспект и особая чувствительность

Если информационные активы передаются за рубеж или обрабатываются в иностранных облаках, включаются дополнительные требования. По 152-ФЗ трансграничная передача персональных данных осуществляется после уведомления Роскомнадзора и с учётом запретов и ограничений. Для коммерческой тайны важно договорное право и локализация доказательств. Для гостайны — специальные режимы и допуски. Чем больше юрисдикций, тем выше стоимость и длиннее сроки защиты, поскольку нужно учитывать GDPR, локальные законы о данных, санкционные ограничения и правила экспортного контроля.

Особая чувствительность характерна для медицинских, финансовых, детских данных, биометрии. Здесь выше штрафы, строже требования к согласиям, уведомлениям и оценке вреда. Судебная практика по таким делам активнее, а регуляторы чаще проводят проверки. Поэтому для таких активов бюджет на юридическую и техническую защиту должен быть выше, а сроки реагирования — минимальными.

Заключение

Информационные активы: сроки и стоимость защиты от утечек — это не разовый договор, а управляемый процесс. Сроки определяются законом и договором: 24 и 72 часа для уведомлений, 3 года общей давности, специальные сроки в банкротстве, срок действия режима — до утраты конфиденциальности. Стоимость складывается из юридических, организационных, технических и страховых расходов и зависит от масштаба и отрасли. Наиболее эффективная стратегия — доказать режим охраны до инцидента, а не после.

---

Нужна помощь по этому вопросу? Запишитесь на консультацию корпоративного юриста АО «Институт корпоративного управления».